Si tu aviso de privacidad todavía menciona al INAI, está desactualizado. El instituto se extinguió y el país opera desde marzo de 2025 con una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que trasladó la supervisión y la facultad sancionadora a una dependencia del Ejecutivo. El texto legal cambió menos de lo que muchos temían, pero la referencia a la autoridad, el procedimiento de defensa y la unidad con la que se calculan las multas sí cambiaron. Esto es lo que tiene que decir hoy tu documento, quién está obligado a tenerlo y qué se sanciona cuando falta.
Qué cambió para tu aviso de privacidad y qué sigue igual
El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación el decreto que expide la nueva ley, en vigor desde el 21 de marzo, y que abroga la ley homónima de 2010. La reforma constitucional en materia de simplificación orgánica, publicada el 20 de diciembre de 2024, había extinguido el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales, y la nueva ley resuelve la consecuencia natural: las atribuciones sobre datos personales del sector privado pasan a la Secretaría Anticorrupción y Buen Gobierno.
Lo que no cambió es la arquitectura de fondo. Siguen ahí los principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad. Siguen los derechos de acceso, rectificación, cancelación y oposición. Sigue la distinción entre datos personales y datos sensibles, y sigue la obligación de poner el aviso a disposición del titular desde el momento en que se recaban sus datos.
Lo que sí cambió, y afecta directamente al documento que tienes publicado, es que toda mención al INAI debe sustituirse por la Secretaría, que el medio de defensa contra las resoluciones de la autoridad ya no es el juicio de nulidad ante el Tribunal Federal de Justicia Administrativa sino el juicio de amparo ante juzgados y tribunales especializados, y que las multas se calculan en Unidades de Medida y Actualización en lugar de días de salario mínimo. Un aviso que remite a un organismo inexistente no es un detalle cosmético: es la prueba documental de que la empresa no ha revisado su cumplimiento desde hace más de un año.
Marco jurídico: la ley vigente y la nueva autoridad
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares rige el tratamiento de datos por parte de personas físicas y morales del ámbito privado. El artículo 15 fija el contenido mínimo del aviso de privacidad, que debe informar la identidad y el domicilio del responsable, los datos personales que serán tratados con identificación expresa de los sensibles, las finalidades del tratamiento distinguiendo las que requieren consentimiento, los mecanismos para ejercer los derechos ARCO, las opciones para limitar el uso o divulgación, las condiciones de las transferencias y el procedimiento para comunicar cambios al propio aviso. El texto completo y actualizado está disponible en la versión oficial de la LFPDPPP publicada por la Cámara de Diputados.
El régimen sancionador vive en los artículos siguientes. Las infracciones están tipificadas en el artículo 58 e incluyen omitir el aviso de privacidad, tratar datos en contravención de los principios de la ley, incumplir sin razón fundada una solicitud ARCO y actuar con negligencia o dolo en su sustanciación. Las multas del artículo 59 llegan hasta 320,000 UMA, y se duplican cuando la infracción recae sobre datos personales sensibles. La ley prevé además penas privativas de libertad para quien trate datos mediante engaño o con ánimo de lucro indebido.
Queda un punto abierto que conviene conocer. El reglamento de la nueva ley todavía no se publica, de modo que el reglamento de 2011 sigue funcionando como referencia práctica en todo lo que no contradiga el texto vigente, y el artículo 4 remite supletoriamente a la Ley Federal de Procedimiento Administrativo y, tras la reforma publicada el 14 de noviembre de 2025, al Código Nacional de Procedimientos Civiles y Familiares. La ausencia de reglamento no suspende ninguna obligación. La Secretaría ya ejerce facultades de verificación y sanción.
Responsable, encargado y la cadena de proveedores
El responsable es quien decide sobre el tratamiento de los datos. El encargado es quien los trata por cuenta del responsable. La distinción determina quién publica el aviso, quién responde ante el titular y quién asume las consecuencias de una vulneración.
Aquí está el punto que más empresas subestiman. Casi ninguna trata datos sola. La plataforma de correo masivo, el CRM, la nómina externalizada, el despacho contable y el proveedor de hosting son encargados, y el responsable sigue respondiendo por lo que ellos hacen. La relación se documenta por contrato, con instrucciones precisas sobre finalidades, medidas de seguridad, confidencialidad y devolución o supresión al terminar el servicio. Un contrato de prestación de servicios profesionales que no diga nada sobre datos personales deja ese flanco abierto, y un convenio de confidencialidad conforme al artículo 163 de la LFPPI cubre el secreto comercial pero no sustituye las cláusulas de tratamiento de datos.
Conviene subrayar que la obligación no depende del tamaño ni del giro. Un despacho de tres personas es responsable. Un arrendador que pide identificación, comprobantes de ingresos y referencias antes de firmar un contrato de arrendamiento con fiador u obligado solidario está recabando datos personales y debe poner un aviso a disposición del interesado. El criterio es el tratamiento, no la facturación.
Qué debe decir hoy tu aviso de privacidad
La ley distingue dos modalidades que se complementan. El aviso integral es el documento completo, con todos los elementos del artículo 15, y suele vivir en una página del sitio web o entregarse impreso. El aviso simplificado es la versión corta que se muestra en el punto de recolección, junto al formulario o al momento de pedir los datos, e indica al menos la identidad del responsable, las finalidades y el mecanismo para conocer el aviso integral.
En la práctica, la actualización mínima tras el cambio de ley tiene tres frentes. Primero, sustituir toda mención al INAI por la Secretaría Anticorrupción y Buen Gobierno, incluidos los párrafos donde se informa al titular que puede acudir ante la autoridad. Segundo, revisar el listado de datos tratados y marcar expresamente los sensibles, categoría que abarca origen racial o étnico, estado de salud, información genética, creencias religiosas o filosóficas, afiliación sindical, opiniones políticas, preferencia sexual y datos biométricos usados para identificación. Tercero, separar con claridad las finalidades necesarias para la relación jurídica de las finalidades adicionales, como mercadotecnia o prospección comercial, que requieren una opción real de rechazo.
El aviso debe estar disponible antes de recabar el dato, no después. Un formulario que pide correo y teléfono y muestra el aviso al final del proceso incumple el orden que la ley establece.
Cómo generar tu aviso de privacidad con Captain.Legal
El recorrido empieza identificando el tipo de responsable y el contexto de recolección: sitio web, punto de venta, expediente laboral, base de clientes o una combinación. A partir de ahí el generador pregunta qué categorías de datos se tratan, si hay datos sensibles, cuáles son las finalidades primarias y cuáles las adicionales, si existen transferencias y hacia quién, y cómo se ejercerán los derechos ARCO.
El resultado es un aviso de privacidad integral y simplificado conforme a los artículos 15 y 16 de la LFPDPPP, con las referencias legales ya alineadas a la ley vigente y a la autoridad actual. Se descarga en Word si necesitas integrarlo a la plantilla gráfica de tu sitio o ajustarlo por línea de negocio, o en PDF para publicarlo y archivarlo tal cual. Guarda la versión firmada y fechada de cada actualización: cuando la autoridad verifica, la trazabilidad de las versiones pesa tanto como el contenido.
Errores frecuentes al actualizar el aviso de privacidad
El más común es copiar el aviso de otra empresa. El documento describe finalidades concretas y categorías de datos concretas, de modo que un aviso ajeno describe un tratamiento que no es el tuyo, y esa discordancia es exactamente lo que la autoridad detecta en una verificación. El segundo es publicar el aviso integral y olvidar el simplificado en los formularios, dejando el punto de recolección sin información previa. El tercero es no marcar los datos sensibles, con la consecuencia de que las multas aplicables se duplican precisamente sobre esa categoría.
También abundan dos descuidos de gestión. Cambiar de proveedor de nómina, de CRM o de hosting sin revisar el aviso ni el contrato con el nuevo encargado, de modo que las transferencias declaradas ya no corresponden a la realidad. Y no tener un procedimiento interno para recibir solicitudes ARCO: la ley exige un medio de contacto y plazos de respuesta, y la falta de respuesta es por sí sola una infracción tipificada, con independencia de que el tratamiento de fondo haya sido correcto.
Preguntas frecuentes
¿Tengo que actualizar mi aviso de privacidad por la nueva ley?
Sí. Aunque la nueva ley retoma la mayor parte del contenido de la de 2010, cualquier mención al INAI quedó obsoleta y debe sustituirse por la Secretaría Anticorrupción y Buen Gobierno, incluidos los párrafos que informan al titular ante quién puede inconformarse. Es también el momento de revisar el listado de datos tratados, identificar expresamente los sensibles y separar las finalidades que requieren consentimiento de las que no. Un aviso que remite a un organismo extinto es prueba de falta de mantenimiento del cumplimiento.
¿Ante quién se presenta hoy una queja en materia de datos personales?
Ante la Secretaría Anticorrupción y Buen Gobierno, que absorbió las funciones del INAI en materia de datos personales del sector privado a partir del 21 de marzo de 2025, incluidos personal y recursos. La Secretaría sustancia los procedimientos de protección de derechos, las verificaciones y la imposición de sanciones. Contra sus resoluciones ya no procede el juicio de nulidad ante el Tribunal Federal de Justicia Administrativa, sino el juicio de amparo ante juzgados y tribunales especializados en la materia.
¿Un aviso de privacidad generado en línea tiene validez legal?
Sí, siempre que su contenido corresponda al tratamiento real que hace la empresa y cumpla los elementos del artículo 15. La ley no exige ninguna formalidad notarial ni registro previo del documento ante autoridad alguna. Lo que sí exige es que el aviso sea veraz, que esté disponible desde el momento en que se recaban los datos y que se comunique al titular cualquier cambio. Un aviso correcto en su forma pero falso en sus finalidades no protege a nadie.
¿Qué plazo tengo para responder una solicitud de derechos ARCO?
El responsable debe comunicar al titular la determinación adoptada dentro de los veinte días hábiles siguientes a la recepción de la solicitud, y hacerla efectiva dentro de los quince días hábiles posteriores a esa comunicación. Por eso conviene designar un responsable interno y un correo de contacto declarado en el aviso. Incumplir la solicitud sin razón fundada, o actuar con negligencia o dolo en su trámite, son infracciones tipificadas de manera autónoma en el artículo 58, al margen del fondo del asunto.
¿En qué formato puedo descargar el documento?
El aviso se genera y se descarga en Word y en PDF. El formato editable resulta práctico cuando necesitas versiones distintas por línea de negocio o integrar el texto al diseño del sitio. El PDF sirve para publicarlo, entregarlo impreso y archivar la versión vigente con su fecha. Puedes revisar el catálogo completo de documentos jurídicos para México si además necesitas los contratos que documentan la relación con tus encargados.
¿Necesito declarar las transferencias a mis distribuidores?
Sí. Toda comunicación de datos personales a una persona distinta del titular, del responsable o del encargado es una transferencia, y el aviso debe informar hacia quién se realiza y con qué finalidad. El receptor asume las mismas obligaciones que el responsable original, lo que conviene reflejar por escrito. Un contrato de distribución exclusiva que contemple la entrega de cartera de clientes debe incorporar cláusulas de tratamiento coherentes con lo declarado en tu aviso.
¿Cuánto pueden multarme por incumplir?
Las multas del artículo 59 alcanzan hasta 320,000 Unidades de Medida y Actualización, y se duplican cuando la infracción recae sobre datos personales sensibles. La ley contempla además penas privativas de libertad para quien trate datos mediante engaño o con ánimo de lucro indebido. El monto concreto depende de la naturaleza del dato, el número de titulares afectados, la intencionalidad y la reincidencia, de modo que el rango real va desde sanciones modestas hasta cifras que comprometen la viabilidad de una empresa mediana.